Umělá inteligence dokáže odhalit více zranitelností než kdy dřív. O tom, co bude dál, však musí rozhodnout lidé.

Týmy kybernetické bezpečnosti se po léta řídily jednoduchým předpokladem: kdybychom dokázali rychleji najít více zranitelností, zvýšili bychom bezpečnost softwaru.

Umělá inteligence tento předpoklad prověřuje. Zatímco se širší debata o AI posouvá od rychlého zavádění k měřitelným přínosům, kybernetická bezpečnost odhaluje problém, který nezmizí ani v případě, že se vývoj AI zpomalí. Organizace už nyní čelí rostoucímu počtu nálezů zranitelností generovaných umělou inteligencí, které stále vyžadují lidské ověření, stanovení priorit a nápravu.

Nedávné poznatky z projektu Glasswing nabízejí jeden z dosud nejzřetelnějších příkladů. Claude Mythos Preview podle dostupných informací během pouhých několika měsíců identifikoval napříč softwarovými projekty více než 26 000 nálezů zranitelností. Podle nezávislé analýzy veřejného registru zveřejněných informací projektu Glasswing se však do procesu zveřejňování dostalo jen přibližně 10 % těchto nálezů a opraveno jich nakonec bylo méně než 1 %.

Tato čísla jsou pozoruhodná, ale neměla by být překvapivá. Odvětví se po desetiletí zaměřovalo na optimalizaci odhalování zranitelností. Nevybudovalo však kapacity potřebné ke zpracování jejich nálezů v měřítku, které umožňuje AI.

Úzkým hrdlem kybernetické bezpečnosti už není odhalování zranitelností. Je jím to, co následuje.

Odhalování zranitelností nikdy nebylo tím nejtěžším

V první aktualizaci o projektu Glasswing společnost Anthropic uvedla, že pokrok stále více nebrzdí samotné hledání zranitelností, ale lidská práce potřebná k ověření hlášení, koordinaci jejich zveřejňování a podpoře nápravy. Společnost také uvedla, že někteří správci projektů požádali o pomalejší tempo zveřejňování, protože neměli kapacitu zpracovat množství vznikajících nálezů.

Toto rozlišení je důležité, protože odhalování zranitelností a jejich náprava jsou zásadně odlišné činnosti.

Odhalování zranitelností je stále více otázkou rozpoznávání vzorců. Moderní systémy umělé inteligence vynikají v analýze rozsáhlých kódových základen, rozpoznávání neobvyklého chování, sledování cest vykonávání kódu a vyhledávání potenciálních slabin.

Náprava je něco jiného. Oprava zranitelnosti vyžaduje znalost kontextu. Někdo musí určit, zda je problém skutečný, porozumět jeho možným dopadům, vyhodnotit možná řešení, zajistit, aby změny nezpůsobily regresi, koordinovat termíny zveřejnění, komunikovat se zainteresovanými stranami a nakonec převzít odpovědnost za výsledek.

Tato poslední část je zásadní. Umělá inteligence může identifikovat potenciální zranitelnost, nemůže však nést odpovědnost za to, co bude následovat. Ověřování, třídění podle priority, opravy i oznamování budou vždy vyžadovat člověka, který odpovídá za projekt, jejž spravuje. A to lidem zabírá čas, přestože často mají práci na plný úvazek, rodinu i další povinnosti, které se ucházejí o jejich pozornost. V mnoha open-source projektech není omezujícím faktorem přehled o rizicích, ale schopnost správců a bezpečnostních týmů zodpovědně vyhodnocovat stále rostoucí množství nálezů a reagovat na ně.

Právě v tom spočívá zásadní rozdíl mezi odhalováním zranitelností a jejich nápravou. Umělá inteligence nám stále více pomáhá rozšiřovat možnosti jejich odhalování. Náprava však i nadále závisí na lidech, kteří mají potřebné znalosti kontextu, pravomoci a odpovědnost jednat na základě toho, co AI zjistí.

Výzva pro open source

Tento problém je ještě zřetelnější v celém ekosystému open source. Komponenty s otevřeným zdrojovým kódem jsou součástí 98 % komerčních kódových základen, takže naprostá většina světové digitální infrastruktury závisí na projektech, o které pečují poměrně malé skupiny přispěvatelů.

V mnoha případech jsou lidé odpovědní za údržbu tohoto zásadního softwaru dobrovolníci nebo jednotlivci, kteří vedle povinností spojených s projektem zvládají také práci na plný úvazek a osobní závazky. S tím, jak AI zvyšuje objem softwaru i zranitelností v něm odhalených, nabývá schopnost správců držet krok na stále větším významu pro celkové zabezpečení.

Když systém umělé inteligence náhle vytvoří stovky či tisíce potenciálních nálezů týkajících se ekosystému určitého projektu, stávají se jeho správci omezujícím faktorem.

Není to kritika správců. Je to odraz skutečnosti.

Už před nástupem odhalování zranitelností pomocí umělé inteligence se řada open-source projektů potýkala s omezenými zdroji, rostoucími očekáváními v oblasti zabezpečení a stále větší zátěží spojenou s údržbou. AI zvyšuje tlak na systém, který už byl přetížený.

Výzvou není pouze určit, zda zranitelnost existuje. Výzvou je všechno, co následuje.

Někdo musí hlášení posoudit. Někdo musí problém reprodukovat. Někdo musí rozhodnout, zda představuje bezpečnostní riziko. Někdo musí připravit a otestovat opravu. Někdo musí koordinovat zveřejnění a vydání aktualizací. Tyto povinnosti nelze jednoduše automatizovat.

S tím, jak počet nálezů generovaných umělou inteligencí dále roste, budou organizace závislé na open-source softwaru stále více spoléhat na dobrý stav a dlouhodobou udržitelnost lidí, kteří se o něj starají.

Příprava na prudký nárůst odhalování zranitelností pomocí AI

Co by tedy měly podniky dělat? Zaprvé si organizace musí uvědomit, že odhalování zranitelností pomocí AI není problémem budoucnosti. Už se to děje. Projekt Glasswing ukázal, že špičkové modely dokážou odhalovat zranitelnosti v takovém rozsahu, jaký by si ještě před několika lety bylo těžké představit.

Zadruhé by vedoucí pracovníci v oblasti bezpečnosti měli posoudit, zda lze jejich procesy nápravy škálovat spolu s možnostmi odhalování zranitelností. Mnoho organizací výrazně investovalo do vyhledávání zranitelností, ale nedostatečně investovalo do lidí a procesů, které jsou zodpovědné za jejich odstraňování.

Zatřetí by podniky měly věnovat větší pozornost údržbě softwaru jako součásti bezpečnosti. O bezpečnosti se často mluví v souvislosti s prevencí a detekcí, dlouhodobá údržba však zůstává jednou z nejdůležitějších a nejvíce podceňovaných součástí řízení rizik. AI může usnadňovat vyhledávání zranitelností, nesnižuje však odpovědnost za dlouhodobé zabezpečení kritického softwaru. Organizace potřebují strategii, která jasně určí odpovědnost za celý životní cyklus softwaru a umožní jeho promyšlenou modernizaci, místo aby byly nuceny k uspěchaným migracím nebo reaktivní nápravě až ve chvíli, kdy se objeví rizika.

A konečně by organizace měly podporovat širší ekosystémy, na kterých závisí. S tím, jak AI urychluje odhalování zranitelností v softwaru s otevřeným zdrojovým kódem, budou na jeho správce kladeny stále vyšší nároky. Bezpečnost softwarového dodavatelského řetězce nakonec závisí na tom, zda mají tito správci dostatek prostředků, aby na ně dokázali reagovat.

AI dokáže zranitelnosti najít rychleji. Jejich nalezení však software nezabezpečí. Náročnější je vyhodnotit rizika, určit priority, dodat otestované opravy a dlouhodobě udržovat software v bezpečí. S tím, jak se odhalování zranitelností zrychluje, budou organizace potřebovat průběžné kapacity pro nápravu, podložené odbornými znalostmi, jasně stanovenou odpovědností a jednoznačně definovanými úrovněmi služeb.

Nejtěžším problémem kybernetické bezpečnosti totiž není najít zranitelnost. Jde o to, co se stane potom.